Me han dicho «haz una auditoría de seguridad de la información»: ¿qué es esto y tan necesaria es?

La auditora os pedirá acceso al repositorio de código, registros del servidor y topología de red. En la parte del código mirarán cómo se cifran los datos sensibles y, en el servidor, dónde se guardan las claves SSH y las contraseñas de conexión a la base de datos. Si recopiláis todo eso de antemano, el proceso se agiliza muchísimo.

No firméis corriendo con una auditora cara. Preguntadle directamente al director de IT del cliente: «¿Bastaría con un informe de test de penetración estándar y un plan de remediación?». En la mayoría de los casos no buscan una auditoría institucional exhaustiva, sino solo la prueba de que el sistema no se puede hackear.

El año pasado pagamos 400.000 RUB y la hicimos. En el informe, el auditor encontró 9 vulnerabilidades, 2 de ellas críticas. Tardamos 10 días en corregirlas y nos dieron el informe limpio. Gracias a eso el cliente firmó el contrato de 3 años en un solo día; amortizamos de sobra lo invertido.

Hay empresas en el mercado que te pasan una herramienta automática por 150 mil rublos y te entregan un PDF. Ni se os ocurra caer en eso; los especialistas de seguridad del gran minorista se darán cuenta al instante de que es superficial y la credibilidad de vuestra empresa se irá al traste.

Las grandes empresas se exponen a sanciones legales y financieras en caso de brechas de datos procedentes de su cadena de suministro. Por ello, exigir un informe de auditoría es una norma estándar de compras conforme a sus procedimientos de gestión de riesgos de terceros.

El equipo auditor que venga les va a pedir 3 puntos básicos: 1) Resultados de las pruebas de penetración en los servidores, 2) Registros de acceso de los empleados a los datos internos y la obligación de autenticación en dos pasos, 3) Un plan de recuperación que muestre con qué frecuencia y dónde se hacen las copias de seguridad.

Para un negocio de 14 millones, un costo de auditoría de 400 mil vale totalmente la pena; esto no es un obstáculo, es el boleto de entrada a la liga corporativa.

Llevé mucho tiempo con este asunto. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Si escribís el resultado aquí, también servirá de ayuda a otros.

La respuesta de arriba ha dado en el clavo. Si decidimos sin medir, siempre acabamos en el mismo punto.

Lo dejo como nota, por si sirve.

Tengo una pregunta, no quiero desviarme del tema, pero... Si regañas las falsas alarmas, nadie volverá a reportar.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Ha sido una buena idea abrir este hilo... Si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después.

La respuesta varía mucho según el sector, no hay una regla general. en fin si escribís el resultado aquí también servirá de ayuda a otros.

Estoy de acuerdo. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Eso es todo, disculpa si me he extendido demasiado.

Yo también pienso lo mismo. o sea un informe de escaneo automático no es lo mismo que una prueba de penetración.

Si escribís el resultado aquí también servirá de ayuda a otros.

Yo también pienso lo mismo. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Yo también pienso lo mismo. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Eso es todo, disculpa si me he extendido demasiado.

A mí me pasó justo al revés por eso escribo. la verdad la mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

También me gustaría saber si alguien lo hace de otra manera.

Exactamente así. Si intentas cambiarlo todo a la vez nada termina de asentarse.

Ánimo.

yo también pienso lo mismo luego las soluciones que funcionan a pequeña escala se rompen al creccer aprendí esto tarde.